Вы хотите отправить клиенту конфиденциальный PDF-файл с уверенностью, что только он сможет его открыть. Не только тот, кто получит пароль. Не тот, кто пересылает электронное письмо. Только конкретный человек на своем конкретном устройстве. Модель паролей PDF не может обеспечить такой уровень контроля доступа. Более надежная защита требует перехода от встроенной безопасности PDF к управлению цифровыми правами или защищенным платформам документов.
Модель PDF Security, встроенная в спецификацию PDF, предоставляет два пароля: один для открытия и один для разрешений. Ни один из них не привязан к конкретной личности пользователя или устройству. Любой, у кого есть пароль, может открыть файл на любом устройстве. Для управления доступом для конкретного пользователя и устройства требуются дополнительные уровни безопасности.
Почему встроенная система безопасности PDF не может обеспечить блокировку на уровне устройства
Пароли PDF удостоверяют подлинность знаний, пароля, а не личности, человека или устройства. При вводе правильного пароля PDF-файл открывается независимо от того, кто его ввел и какое устройство он использует. В спецификации PDF не предусмотрен механизм проверки личности пользователя по списку авторизованных пользователей или проверки устройства по зарегистрированному идентификатору оборудования.
PDF Encryption защищает содержимое файла во время хранения и передачи. Он не контролирует доступ после ввода пароля. Зашифрованный файл расшифровывается в памяти при указании правильного пароля. Расшифрованный контент затем может быть сохранен, распечатан или извлечен пользователем или программным обеспечением, действующим от имени пользователя.
Пароль разрешений ограничивает действия, которые можно делать с документом после открытия, но эти ограничения применяются программой просмотра PDF-файлов. Зритель, который решает не применять ограничения, или пользователь с инструментом, снимающим ограничения, полностью обходит модель разрешений.
Технологии, обеспечивающие контроль доступа на уровне пользователя и устройства
Системы управления цифровыми правами (DRM), построенные на базе PDF, обеспечивают контроль доступа, которого нет в спецификации PDF. PDF-файл с защитой DRM шифруется ключом, которым управляет сервер лицензий. Когда пользователь пытается открыть файл, средство просмотра обращается к серверу лицензий. Сервер проверяет личность пользователя, проверяет авторизацию устройства и, если разрешено, предоставляет ключ дешифрования.
Microsoft Azure Information Protection и Adobe LiveCycle Rights Management — это корпоративные системы DRM, интегрируемые с PDF. Они могут ограничить доступ определенным пользователям, определенным устройствам, определенным IP-адресам или определенным временным окнам. Политики доступа управляются централизованно и применяются клиентским программным обеспечением DRM.
Подход PDF DRM имеет критическое ограничение: он требует, чтобы у получателя было установлено клиентское программное обеспечение DRM. Для внешних получателей, у которых может не быть необходимого программного обеспечения, защита DRM создает барьер как для законного, так и для несанкционированного доступа.
Практические альтернативы блокировке на уровне устройства
Защищенные порталы документов обеспечивают контроль доступа на уровне пользователя без необходимости использования клиентского программного обеспечения DRM. PDF-файл хранится на защищенном сервере. Пользователи проходят аутентификацию на портале для просмотра документа. PDF-файл передается в браузер для просмотра. Портал обеспечивает контроль загрузки и печати. PDF-файл никогда не покидает контролируемую среду в виде файла.
WukongPDF предоставляет браузерные инструменты PDF Security, которые обрабатывают документы локально. Для обеспечения максимальной безопасности файлы обрабатываются, даже не покидая пользовательского устройства, что исключает риск раскрытия данных на стороне сервера.
Установка реалистичных ожиданий в отношении контроля доступа к PDF-файлам
Пароли PDF обеспечивают базовый уровень защиты, подходящий для документов, передаваемых доверенным лицам. Они предотвращают случайный несанкционированный доступ. Для контроля доступа на уровне устройства и пользователя требуются дополнительные технологии, выходящие за рамки спецификации PDF. Понимание этого различия помогает выбрать правильный подход к обеспечению безопасности с учетом конфиденциальности документа и технической среды получателя.
Для документов, к которым не должен быть доступен доступ за пределами определенной группы, наиболее надежным способом контроля является хранение документов в контролируемой системе, на портале документов, в виртуальной комнате данных или на безопасной платформе обмена файлами, которая управляет аутентификацией и доступом на уровне системы, а не на уровне файлов.
Различие между встроенной защитой PDF и внешним DRM важно для организаций, оценивающих варианты защиты документов. Пароли PDF защищают файл при транспортировке и хранении. DRM защищает файл на протяжении всего его жизненного цикла, в том числе после его открытия и расшифровки.
Платформы безопасных документов, обеспечивающие контроль доступа на уровне пользователя, обычно включают в себя дополнительные функции помимо ограничения доступа: аналитику использования документа, показывающую, кто и когда открыл документ, удаленный отзыв доступа даже после загрузки документа и динамическое нанесение водяных знаков, которое персонализирует каждый просмотр документа.
Важным фактором является удобство использования PDF-файлов с защитой DRM. Получатель, который не может открыть документ из-за отсутствия необходимого клиентского программного обеспечения DRM, может выбрать работу с другим поставщиком, который облегчит доступ к документу. Выгоду от DRM в плане безопасности необходимо сопоставить с издержками бизнеса, связанными с проблемами доступа.
Для внутренней защиты документов внутри организации существующая инфраструктура идентификации, такая как Active Directory или система единого входа, может быть интегрирована с элементами управления доступом к документам. Сотрудник, прошедший аутентификацию в корпоративной сети, автоматически получает право открывать документы, соответствующие его должности.
Юридическая осуществимость ограничений доступа к документам отделена от технической осуществимости. Документ, помеченный как конфиденциальный и защищенный соглашением о доступе по клику, создает юридические обязательства для получателя независимо от того, можно ли обойти техническую защиту.
Наиболее эффективная стратегия защиты документов сочетает в себе технический контроль, юридические соглашения и обучение получателя. Получатель, который понимает свои обязательства по конфиденциальности, согласился с ними в письменной форме и сталкивается с техническими барьерами для несанкционированного обмена, защищен тремя уровнями защиты.
Оценивая варианты защиты документов, протестируйте решение на репрезентативных получателях из вашей реальной аудитории. Решение, которое бесперебойно работает для внутренних пользователей на управляемых устройствах, может создать непреодолимые препятствия для внешних пользователей на персональных устройствах.
Разрыв между тем, что может обеспечить встроенная безопасность PDF, и тем, что нужно организациям для контроля доступа на уровне устройства, заполняется дополнительными технологиями, которые добавляют идентификацию и осведомленность об устройстве для защиты документов.
Выбор правильного уровня защиты документа требует честной оценки угрозы: кто может получить доступ к документу, какой вред это может нанести и какой уровень препятствий при доступе является приемлемым.
Microsoft Azure Information Protection интегрируется с Active Directory для применения политик доступа на уровне пользователя и устройства к PDF-файлам, используя существующую инфраструктуру идентификации организации.
Adobe LiveCycle Rights Management предоставляет аналогичные возможности через экосистему Adobe с политиками, ограничивающими доступ определенным пользователям, IP-адресам, временным окнам и типам устройств.
Опыт получателя с PDF-файлами, защищенными DRM, следует проверить перед развертыванием, поскольку ограничения доступа, приемлемые для внутренних пользователей, могут быть неприемлемыми для внешних клиентов и партнеров.
Стоимость развертывания DRM включает не только лицензирование программного обеспечения, но и нагрузку на поддержку пользователей, поскольку получателям, которые не могут открыть защищенные документы, потребуется помощь.
Для большинства сценариев обмена документами безопасный портал документов с аутентифицированным доступом, но без клиентского программного обеспечения DRM, обеспечивает наилучший баланс безопасности и удобства использования.
Различие между аутентификацией, проверяющей личность пользователя, и авторизацией, определяющей, что может делать пользователь, имеет фундаментальное значение для понимания того, почему встроенные пароли PDF не могут обеспечить контроль доступа на уровне устройства.
Инфраструктуру открытых ключей можно использовать для обеспечения безопасности PDF-файлов путем шифрования документа с помощью открытого ключа получателя, гарантируя, что только владелец соответствующего закрытого ключа сможет его расшифровать.
Модули аппаратной безопасности и смарт-карты могут хранить закрытые ключи для расшифровки PDF-файлов, обеспечивая на аппаратном уровне гарантию того, что ключ не может быть извлечен и использован на неавторизованных устройствах.
Удобство использования надежной защиты PDF должно быть сбалансировано с риском того, что законные получатели не смогут получить доступ к документу, что может привести к сбоям в работе бизнеса.
Виртуальные комнаты данных, используемые для слияний и поглощений, обеспечивают контроль доступа на уровне документов с полным журналом аудита, включая информацию о том, кто просматривал каждый документ и в течение какого времени.
Правовая база защиты документов включает соглашения о конфиденциальности, которые создают юридические обязательства, независимые от мер технической защиты, применяемых к документу.
Возможности удаленного стирания в некоторых системах DRM позволяют владельцу документа отозвать доступ даже после загрузки зашифрованного файла на устройство-получатель.
Предотвращение захвата экрана — это функция некоторых систем DRM, которая пытается предотвратить создание получателем незащищенных копий с помощью снимков экрана или фотографий.
Анализ затрат и выгод для защиты документов должен учитывать ценность защищаемой информации в сравнении со стоимостью и сложностью технологии защиты.
Для большинства организаций многоуровневый подход, сочетающий порталы с контролем доступа, аутентификацию пользователей и ведение журнала аудита, обеспечивает достаточную безопасность документов без сложностей DRM.
Понимание возможностей безопасности и ограничений формата PDF помогает организациям выбирать подходящие стратегии защиты своих документов.
Решение о внедрении контроля доступа к документам на уровне устройства должно быть основано на реалистичной оценке угроз и ценности защищаемой информации.
Понимание модели безопасности PDF-документов помогает организациям принимать обоснованные решения о стратегиях защиты документов.
Соответствующий уровень защиты документов зависит от конфиденциальности контента и модели угроз среды распространения.
Безопасность документов на уровне устройства расширяет защиту не только самого файла, но и среды, в которой к нему осуществляется доступ.
Соответствующий подход к обеспечению безопасности зависит от конкретных угроз и требований каждого сценария распространения документов.
| Уровень защиты | Технология | Опыт использования | Наилучший вариант для |
|---|---|---|---|
| PDF-пароль | Встроенная защита PDF | Простой; введите пароль, чтобы открыть | Доверенные получатели; случайная защита |
| Управление цифровыми правами (AIP/RMS) | Управление правами предприятия | Умеренный; требуется клиентское программное обеспечение | Внутренние пользователи на управляемых устройствах |
| Безопасный портал | Доступ с проверкой подлинности через веб-интерфейс | Хороший; любой браузер; клиент не нужен | Внешний обмен; смешанная аудитория |
| Аппаратный токен + PKI | Сертификат + смарт-карта | Сложный; требует аппаратного обеспечения | Правительство/оборона строгого режима |